在CentOS 7上安装OpenLDAP服务器
系统环境
os: CentOS Linux release 7.6.1810 (Core)
关闭selinux和防火墙
setenforce 0
sed -i '/SELINUX/s/enforcing/disabled/' /etc/selinux/config
systemctl disable firewalld.service && systemctl stop firewalld.service
systemctl stop NetworkManager && systemctl disable NetworkManager
yum install -y epel-release
安装OpenLDAP
yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools
查看OpenLDAP版本
# slapd -VV
@(#) $OpenLDAP: slapd 2.4.44 (Jan 29 2019 17:42:45) $
mockbuild@x86-01.bsys.centos.org:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd
OpenLDAP的相关配置文件信息
- /etc/openldap/slapd.conf：OpenLDAP的主配置文件，记录根域信息，管理员名称，密码，日志，权限等
- /etc/openldap/slapd.d/*：这下面是/etc/openldap/slapd.conf配置信息生成的文件，每修改一次配置信息，这里的东西就要重新生成
- /etc/openldap/schema/*：OpenLDAP的schema存放的地方
- /var/lib/ldap/*：OpenLDAP的数据文件
- /usr/share/openldap-servers/DB_CONFIG.example 模板数据库配置文件
OpenLDAP监听的端口：
- 默认监听端口：389（明文数据传输）
- 加密监听端口：636（密文数据传输）
配置OpenLDAP
配置OpenLDAP数据库
OpenLDAP默认使用的数据库是BerkeleyDB，现在来开始配置OpenLDAP数据库，使用如下命令：
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
修改配置文件
生成ldap管理员密码
# slappasswd -s 123456
{SSHA}75DlNvYHm2SGp/MTlwKN1rEwr2RS4L1F
修改olcDatabase={2}hdb.ldif文件
vim /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif
olcSuffix: dc=roywork,dc=com
olcRootDN: cn=Manager,dc=roywork,dc=com
olcRootPW: {SSHA}75DlNvYHm2SGp/MTlwKN1rEwr2RS4L1F
注意：其中cn=Manager中的Manager表示OpenLDAP管理员的用户名，dc是我们的组织信息，而olcRootPW表示OpenLDAP管理员的密码,用刚才我们生成的密码。
修改olcDatabase={1}monitor.ldif文件
vim /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{1\}monitor.ldif
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=extern
al,cn=auth" read by dn.base="cn=Manager,dc=roywork,dc=com" read by * none
注意：该修改中的dn.base是修改OpenLDAP的管理员的相关信息的。
验证OpenLDAP的基本配置
# slaptest -u
5fa4f3b4 ldif_read_file: checksum error on "/etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif"
5fa4f3b4 ldif_read_file: checksum error on "/etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif"
config file testing succeeded
修改ldap文件权限
chown -R ldap:ldap /var/lib/ldap/
chown -R ldap:ldap /etc/openldap/
启动OpenLDAP
# systemctl enable --now slapd
Created symlink from /etc/systemd/system/multi-user.target.wants/slapd.service to /usr/lib/systemd/system/slapd.service.
# systemctl status slapd.service
● slapd.service - OpenLDAP Server Daemon
Loaded: loaded (/usr/lib/systemd/system/slapd.service; enabled; vendor preset: disabled)
Active: active (running) since Fri 2020-11-06 15:04:07 CST; 33s ago
Docs: man:slapd
man:slapd-config
man:slapd-hdb
man:slapd-mdb
file:///usr/share/doc/openldap-servers/guide.html
Process: 12695 ExecStart=/usr/sbin/slapd -u ldap -h ${SLAPD_URLS} $SLAPD_OPTIONS (code=exited, status=0/SUCCESS)
Process: 12680 ExecStartPre=/usr/libexec/openldap/check-config.sh (code=exited, status=0/SUCCESS)
Main PID: 12697 (slapd)
CGroup: /system.slice/slapd.service
└─12697 /usr/sbin/slapd -u ldap -h ldapi:/// ldap:///
....
导入Schema
导入基本Schema
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
修改migrate_common.ph文件
migrate_common.ph文件主要是用于生成ldif文件使用，修改migrate_common.ph文件，如下：
vim /usr/share/migrationtools/migrate_common.ph +71
# Default DNS domain
$DEFAULT_MAIL_DOMAIN = "roywork.com";
# Default base
$DEFAULT_BASE = "dc=roywork,dc=com";
$EXTENDED_SCHEMA = 1;
生成base.ldif
mkdir /root/openldap
/usr/share/migrationtools/migrate_base.pl >/root/openldap/base.ldif
ldapadd -x -D "cn=Manager,dc=roywork,dc=com" -w 123456 -f /root/openldap/base.ldif
-D指定绑定dn-w指定管理员密码-f指定文件
添加用户及用户组
默认情况下OpenLDAP是没有普通用户的，但是有一个管理员用户。管理用户就是前面我们刚刚配置的root。
现在我们把系统中的用户，添加到OpenLDAP中。为了进行区分，我们现在新加两个用户ldapuser1和ldapuser2，和两个用户组ldapgroup1和ldapgroup2.
添加用户组，使用如下命令：
groupadd ldapgroup1
groupadd ldapgroup2
添加用户并设置密码
useradd -g ldapgroup1 ldapuser1
useradd -g ldapgroup2 ldapuser2
echo '123456' | passwd --stdin ldapuser1
echo '123456' | passwd --stdin ldapuser2
把刚刚添加的用户和用户组提取出来，这包括该用户的密码和其他相关属性，如下
grep ":10[0-9][0-9]" /etc/passwd > /root/openldap/users
grep ":10[0-9][0-9]" /etc/group > /root/openldap/groups
根据上述生成的用户和用户组属性，使用migrate_passwd.pl文件生成要添加用户和用户组的ldif，如下：
/usr/share/migrationtools/migrate_group.pl /root/openldap/groups > /root/openldap/groups.ldif
/usr/share/migrationtools/migrate_passwd.pl /root/openldap/users > /root/openldap/users.ldif
导入用户及用户组到OpenLDAP数据库
ldapadd -x -w "123456" -D "cn=Manager,dc=roywork,dc=com" -f /root/openldap/groups.ldif
ldapadd -x -w "123456" -D "cn=Manager,dc=roywork,dc=com" -f /root/openldap/users.ldif
把OpenLDAP用户加入到用户组
尽管我们已经把用户和用户组信息，导入到OpenLDAP数据库中了。但实际上目前OpenLDAP用户和用户组之间是没有任何关联的。
如果我们要把OpenLDAP数据库中的用户和用户组关联起来的话，我们还需要做另外单独的配置。
现在我们要把ldapuser1用户加入到ldapgroup1用户组，需要新建添加用户到用户组的ldif文件，如下
cat > /root/openldap/add_user_to_groups.ldif << "EOF"
dn: cn=ldapgroup1,ou=Group,dc=roywork,dc=com
changetype: modify
add: memberuid
memberuid: ldapuser1
dn: cn=ldapgroup2,ou=Group,dc=lework,dc=com
changetype: modify
add: memberuid
memberuid: ldapuser2
EOF
ldapadd -x -w "123456" -D "cn=Manager,dc=roywork,dc=com" -f /root/openldap/add_user_to_groups.ldif
查询添加的OpenLDAP用户组信息，如下：
# ldapsearch -LLL -x -D "cn=Manager,dc=roywork,dc=com" -w "123456" -b "dc=roywork,dc=com" "cn=ldapgroup1"
dn: cn=ldapgroup1,ou=Group,dc=roywork,dc=com
objectClass: posixGroup
objectClass: top
cn: ldapgroup1
userPassword:: e2NyeXB0fXg=
gidNumber: 1002
memberUid: ldapuser1
开启OpenLDAP日志访问功能
默认情况下OpenLDAP是没有启用日志记录功能的，但是在实际使用过程中，我们为了定位问题需要使用到OpenLDAP日志。
新建日志配置ldif文件，如下：
cat > /root/openldap/loglevel.ldif << EOF
dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: stats
EOF
ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/openldap/loglevel.ldif
修改rsyslog配置文件，并重启rsyslog服务，如下：
cat >> /etc/rsyslog.conf << EOF
local4.* /var/log/slapd.log
EOF
重启服务
systemctl restart rsyslog
systemctl restart slapd
使用ldapuser1认证下
# ldapwhoami -x -D uid=ldapuser1,ou=People,dc=roywork,dc=com -w 123456
dn:uid=ldapuser1,ou=People,dc=roywork,dc=com
查看OpenLDAP日志，如下：
# tail /var/log/slapd.log
Nov 6 15:47:47 acc-azure-hdp-scale-lab-jumper-0 slapd[13168]: slapd starting
Nov 6 15:48:48 acc-azure-hdp-scale-lab-jumper-0 slapd[13168]: conn=1000 fd=11 ACCEPT from IP=[::1]:52740 (IP=[::]:389)
Nov 6 15:48:48 acc-azure-hdp-scale-lab-jumper-0 slapd[13168]: conn=1000 op=0 BIND dn="uid=ldapuser1,ou=People,dc=roywork,dc=com" method=128
Nov 6 15:48:48 acc-azure-hdp-scale-lab-jumper-0 slapd[13168]: conn=1000 op=0 BIND dn="uid=ldapuser1,ou=People,dc=roywork,dc=com" mech=SIMPLE ssf=0
Nov 6 15:48:48 acc-azure-hdp-scale-lab-jumper-0 slapd[13168]: conn=1000 op=0 RESULT tag=97 err=0 text=
Nov 6 15:48:48 acc-azure-hdp-scale-lab-jumper-0 slapd[13168]: conn=1000 op=1 EXT oid=1.3.6.1.4.1.4203.1.11.3
Nov 6 15:48:48 acc-azure-hdp-scale-lab-jumper-0 slapd[13168]: conn=1000 op=1 WHOAMI
Nov 6 15:48:48 acc-azure-hdp-scale-lab-jumper-0 slapd[13168]: conn=1000 op=1 RESULT oid= err=0 text=
安装phpldapadmin
phpldapadmin是使用php语言开发的web端管理ldap的应用。
yum --enablerepo=epel -y install phpldapadmin
修改配置文件
vim /etc/phpldapadmin/config.php +397
#397行取消注释，398行添加注释
$servers->setValue('login','attr','dn');
//$servers->setValue('login','attr','uid');
vim /etc/httpd/conf.d/phpldapadmin.conf +11
<IfModule mod_authz_core.c>
# Apache 2.4
Require local
#添加一行内容，指定可访问的ip段
Require ip 192.176.1.87/24
</IfModule>
启动httpd
systemctl enable --now httpd
COPY
浏览器访问phpldapadmin：
- url: http://服务器地址/phpldapadmin/
- 用户名：cn=Manager,dc=roywork,dc=com
- 密码：设定的管理员密码
